css - CORS(Access-Control-Allow-Origin header )如何提高安全性？

Question

我现在正在做一些这方面的工作，我不得不说，这对我来说毫无意义!基本上，我有一些 CDN 服务器，它为网站提供 css、图像等。无论出于何种原因，为了让我的浏览器停止因 CORS 错误而阻塞这些资源，我必须让该服务器(CDN)添加 Access-Control-Allow-Origin header 。但据我所知，这对提高安全性毫无帮助。我请求的引用那些跨域资源的页面不应该告诉浏览器从其他域获取内容是安全的吗？如果那是一个恶意域，它不会只是将 Access-Control-Allow-Origin 设置为 * 以便站点加载它们的恶意响应(您不必回答这个问题，因为它们显然会回答)？

那么有人可以解释这种机制/功能如何提供安全性吗？据我所知，实现者搞砸了，它实际上什么也没做。标题应该来自引用/请求跨域资源的页面，而不是来自被请求的域。

要清楚；如果我在域 A 请求一个页面，那么响应包含来自域 B (Access-Control-Allow-Origin:.B.com) 的 Access-Control-Allow-Origin header 白名单资源是有意义的，然而，域 B 通过提供 header 有效地将自己列入白名单是毫无意义的； Access-Control-Allow-Origin: 目前的实现方式。谁能阐明此功能的好处是什么？

Answer 1

如果我在站点 A 上托管了一个 protected 资源，但也控制了站点 B、C 和 D，我可能想在我的所有站点上使用该资源，但仍然阻止其他任何人在他们的站点上使用该资源。因此，我指示我的站点 A 发送 Access-Control-Allow-Origin: B, C, D 及其所有响应。如果请求不是来自允许的来源，则由 Web 浏览器本身来尊重这一点，而不是对底层 Javascript 或任何发起请求的响应提供服务。错误处理程序将被调用。因此，它实际上不是为了您的安全，而是一种用于服务器的荣誉系统(所有主流浏览器都这样做)访问控制方法。